Stellenanzeigen beschreiben einen verzweifelten Mangel. Junior-Bewerber beschreiben zweihundert Bewerbungen ohne eine Antwort. Beides stimmt, und die Erklärung dafür zählt.
Der Engpass hat eine bestimmte Form
Die Nachfrage ist echt. Das US Bureau of Labor Statistics prognostiziert für IT-Sicherheitsanalysten ein Beschäftigungswachstum von 28,5 Prozent zwischen 2024 und 2034, ein Plus von 52.100 Stellen, gegenüber 3,1 Prozent Wachstum über alle Berufe hinweg. Die Einführung neuer Technologie, einschließlich künstlicher Intelligenz, vergrößert gleichzeitig die Angriffsfläche und die regulatorischen Pflichten.
Aber die Nachfrage verteilt sich nicht gleichmäßig über Erfahrungsstufen, und genau das geht unter.
Was Organisationen wollen: jemanden, der echte Vorfälle bearbeitet hat, um zwei Uhr nachts eine Ermessensentscheidung treffen kann, die verteidigten Systeme versteht und weder einen echten Einbruch ignoriert noch die Produktion wegen eines Fehlalarms lahmlegt.
Was im Überfluss vorhanden ist: Leute mit Zertifikaten, Home-Labs, Capture-the-Flag-Erfahrung und Begeisterung, die nie für eine Produktionsumgebung verantwortlich waren.
Fast niemand stellt für Potenzial ein, und fast alle beklagen sich, dass erfahrene Leute knapp sind.
Diese zwei Tatsachen sind dieselbe Tatsache. Die Pipeline ist am ersten Schritt blockiert, und sie ist blockiert, weil die Rollen, die früher Security-Erfahrung geschaffen haben, gestrichen oder ausgelagert wurden.
Die praktische Konsequenz für einen Arbeitgeber: Der schnellste Weg zu einem erfahrenen Security-Team ist interner Aufstieg aus technischen Rollen, nicht externe Rekrutierung in einem Markt, in dem alle um dieselbe kleine Gruppe konkurrieren.
Was die Richtung abdeckt
Der Umfang: Netzwerke, Angriff und Verteidigung, Identität, Cloud-Security, Incident Response, Forensik und Governance.
Vier Bereiche.
Grundlagen. Netzwerke, Betriebssysteme, Identität und Kryptografie, auf dem Niveau, das nötig ist, um zu durchdenken, was ein Angreifer tatsächlich tun kann.
Verteidigung und Erkennung. Hardening, Monitoring, Detection Engineering und Reaktion.
Offensives Verständnis. Wie Angriffe funktionieren, damit Verteidigung die Methode adressiert statt nur die Kategorie.
Governance und Risiko. Frameworks, Regulierung, Drittparteirisiko und die Arbeit, Security-Entscheidungen in einer Organisation mit anderen Prioritäten durchzusetzen.
Warum Zertifizierungen es nicht behoben haben
Es wurde erhebliches Geld in Zertifizierung gesteckt, und der Mangel am erfahrenen Ende besteht weiter. Der Grund lohnt sich, ohne Feindseligkeit zu benennen, denn Zertifizierungen leisten etwas Echtes – nur nicht das, was fehlt.
Eine Zertifizierung belegt, dass jemand einen definierten Stoff kennt. Das ist wirklich nützlich. Sie filtert nach Aufwand und Grundlagenwissen, und mehrere genießen zu Recht Ansehen.
Was sie nicht belegt, ist Urteilsvermögen unter Unsicherheit – und genau das verlangen die knappen Rollen.
Entscheiden, was zählt. Ein Scanner liefert vierhundert Findings. Zu wissen, welche drei davon in dieser Umgebung tatsächlich ausnutzbar sind, ist Erfahrung, kein Wissen.
Mit unvollständiger Information arbeiten. Um Mitternacht schlägt ein Alarm an. Irgendetwas könnte passieren. Die Wahl ist, zu eskalieren und das Geschäft zu stören, oder zu warten und die Ausbreitung eines echten Einbruchs zu riskieren – manchmal ist beides falsch.
Die konkrete Umgebung verstehen. Welche Systeme zählen, wie „normal“ hier aussieht, wo die undokumentierten Abhängigkeiten liegen. Das lässt sich nicht zertifizieren, weil es lokal ist.
Die Argumentation führen. Ein Großteil der Security-Arbeit besteht darin, Leute mit anderen Prioritäten zu überzeugen, Reibung zu akzeptieren. Das ist eine Kommunikations- und Organisationsfähigkeit.
Das heißt nicht, dass Zertifizierung wertlos ist. Es heißt, dass Zertifizierung plus keine operative Verantwortung nicht das erzeugt, woran es dem Markt fehlt – und Organisationen, die Ersteres finanzieren und von Letzterem nichts bieten, kaufen die Hälfte von etwas.
Wo das in der Domäne steht
Cybersecurity ist die fünfte von acht Richtungen in Astra Trainers Domäne KI, Daten und Computing, und dort landet ein großer Teil der Nachfrage, die die anderen Richtungen erzeugen. Künstliche Intelligenz einzuführen, in Cloud-Infrastruktur zu wechseln und mehr Systeme zu vernetzen – all das vergrößert, was verteidigt werden muss.
Sie stützt sich auf IT-Systeme und Computernetzwerke sowie auf Computer Science, weil Security-Urteilsvermögen verlangt, zu wissen, wie die Sache wirklich funktioniert, und verbindet sich mit Cloud Computing und DevOps, wo ein großer Teil moderner Angriffsflächen entsteht. Hier findest du die acht Richtungen.
Die meisten Sicherheitsvorfälle sind nicht raffiniert
Security-Marketing betont fortgeschrittene, dauerhafte Bedrohungen und neuartige Techniken. Die Vorfallberichte lesen sich anders, und dieser Unterschied sollte bestimmen, wohin das Trainingsgeld geht.
Die wiederkehrenden Einfallswege sind unspektakulär. Zugangsdaten, die gestohlen, erraten, aus einem anderen Leak wiederverwendet oder erphisht wurden. Systeme ohne Patches für Schwachstellen, die vor Monaten oder Jahren offengelegt und behoben wurden. Dienste, die ungewollt ins Internet exponiert sind, einschließlich Storage- und Management-Schnittstellen, die durch Konfigurationsfehler offen blieben. Übermäßige Berechtigungen, die aus einem kleinen Fuß in der Tür einen großen machen. Zugriff über Dritte mit schwächeren Kontrollen.
Vier Konsequenzen, die direkt folgen.
Die Grundlagen sind die Arbeit. Asset-Inventar, Patchen, Multi-Faktor-Authentifizierung, minimale Rechtevergabe, Backup und Wiederherstellung, Logging. Unglamourös, schwer durchzuhalten, und verantwortlich für den größten Teil der verfügbaren Risikoreduktion.
Ihr könnt nicht schützen, was ihr nicht kennt. Asset-Inventar ist die uninteressanteste Kontrolle und die, deren Fehlen das meiste andere erklärt.
Identität ist jetzt die Perimeter. Sobald Arbeit über Cloud-Dienste und Remote-Endpunkte läuft, hört die Netzwerkgrenze auf, der Kontrollpunkt zu sein, und Zugangsdaten werden zum Ziel.
Erkennung zählt mehr als Prävention allein. Von einer Kompromittierung auszugehen und die Fähigkeit aufzubauen, sie schnell zu bemerken, ist eine bessere Haltung, als anzunehmen, die Perimeter halte.
Die Rollen, die wirklich schwer zu besetzen sind
Hier konkret zu sein hilft Organisationen, ihr Training auf die echten Lücken zu richten.
Detection Engineers. Leute, die die Regeln schreiben und abstimmen, die entscheiden, was auffällt. Das verlangt sowohl Angreifertechnik als auch die konkrete Umgebung zu kennen, und davon gibt es sehr wenige.
Incident Responder mit echter Vorfallerfahrung, im Unterschied zu Tabletop-Übungen.
Cloud-Security-Engineers. Cloud-Security unterscheidet sich genug von klassischer Infrastruktur-Security, dass die Übertragung nicht automatisch klappt, und die Nachfrage hat das Angebot deutlich abgehängt.
Application-Security-Engineers, die tatsächlich Code lesen können – eine viel kleinere Gruppe als die Zahl der Leute mit diesem Titel.
Spezialistinnen für Operational Technology und Industrial Security, wo IT-Security-Praxis die Lage oft verschlimmert, wenn sie ohne Prozessverständnis angewendet wird.
Security-Architekten, die entwerfen können statt nur zu bewerten.
Das gemeinsame Merkmal: Jede dieser Rollen verlangt Tiefe in etwas anderem als Security. Das ist der Befund, der die Rekrutierungsstrategie bestimmen sollte.
Die Rollen im Überblick
Security-Analysten, in Operations Centern.
Detection Engineers.
Incident Responder und forensische Analystinnen.
Penetrationstester und Red-Team-Operatoren.
Application-Security-Engineers.
Cloud- und Infrastruktur-Security-Ingenieurinnen.
Spezialisten für Identity und Access Management.
Governance-, Risk- und Compliance-Fachleute.
Threat-Intelligence-Analysten.
Wer sich dafür weiterbilden kann
Systemadministratoren. Die stärkste verfügbare Konversion. Sie wissen, wie Systeme funktionieren, wie „normal“ aussieht und wo die undokumentierten Abhängigkeiten liegen. Security-Wissen auf diesem Fundament erzeugt schnell eine nützliche Verteidigerin.
Netzwerktechniker. In Netzwerk-Security und Erkennung, mit dem Traffic-Bild bereits im Kopf.
Softwareentwicklerinnen. In Application Security, wo die Fähigkeit, Code zu lesen, der knappe Teil ist und sich nicht über einen Kurs erwerben lässt.
Cloud- und Plattform-Engineers. In Cloud-Security, eine der am schwersten extern zu besetzenden Lücken.
Servicedesk- und Support-Mitarbeitende. In Security Operations, mit Wissen über Nutzerverhalten und Instinkt für Incident Handling.
Ingenieure für industrielle Steuerung und Automatisierung. In Operational-Technology-Security, wo Prozessverständnis fehlt, das allgemeinem Security-Personal oft fehlt.
Auditoren und Risk-Fachleute. In Governance und Compliance, wo sich die Methodik bereits überträgt.
Militär- und Strafverfolgungspersonal mit relevantem Hintergrund, besonders in Ermittlung und Reaktion.
Rechtliche Grenzen und regulierte Pflichten. Unbefugter Zugriff auf Computersysteme ist in den meisten Rechtsräumen eine Straftat, und Security-Tests erfordern eine explizite schriftliche Freigabe, die den Umfang definiert. Meldepflichten bei Sicherheitsvorfällen und branchenspezifische Security-Pflichten sind gesetzlich geregelt, unterscheiden sich je nach Rechtsraum und sind mit Sanktionen belegt. Der Umgang mit forensischen Beweismitteln hat Anforderungen, die die Zulässigkeit beeinflussen. Astra Trainer baut defensive und analytische Kompetenz sowie das Bewusstsein dafür auf, wo diese Pflichten gelten. Es autorisiert kein Testen irgendeines Systems, ist keine Rechtsberatung und verleiht keine berufliche Zertifizierung oder Befugnis.
Was du mitnehmen solltest
Die Nachfrage ist echt, mit prognostizierten 28,5 Prozent Wachstum bis 2034, und sie konzentriert sich am erfahrenen Ende.
Junior-Bewerber gibt es reichlich, und sie sind blockiert – das macht es zu einem Aufstiegsproblem, nicht zu einem Angebotsproblem.
Zertifizierungen belegen Wissen, nicht Urteilsvermögen, weshalb Zertifizierungsbudgets die Lücke nicht geschlossen haben.
Die meisten Sicherheitsvorfälle nutzen unspektakuläre Methoden gegen bekannte Schwächen, also liefert diszipliniertes Grundhandwerk den größten Teil der verfügbaren Risikoreduktion.
Und jede wirklich schwer zu besetzende Security-Rolle verlangt zuerst Tiefe in etwas anderem. Die Leute, die sie besetzen können, sind bereits in euren Infrastruktur-, Netzwerk- und Entwicklungsteams.
Gibt es wirklich einen Fachkräftemangel in der Cybersecurity?
Am erfahrenen Ende ja. Das BLS prognostiziert 28,5 Prozent Wachstum für IT-Sicherheitsanalysten bis 2034. Auf Einstiegsebene gibt es reichlich Bewerber, die oft keine erste Stelle bekommen – die Pipeline ist am ersten Schritt blockiert, nicht knapp an Menschen.
Warum haben Zertifizierungen das nicht gelöst?
Weil eine Zertifizierung Wissen über einen definierten Stoff belegt, während die knappen Rollen Urteilsvermögen unter Unsicherheit verlangen: entscheiden, welche Findings zählen, mit unvollständiger Information handeln, eine konkrete Umgebung verstehen und Leute mit anderen Prioritäten überzeugen.
Was verursacht die meisten Sicherheitsvorfälle?
Gestohlene, erratene, wiederverwendete oder erphishte Zugangsdaten; ungepatchte Systeme mit lange bekannten Schwachstellen; unbeabsichtigt exponierte Dienste; übermäßige Berechtigungen; und Zugriff über Dritte mit schwächeren Kontrollen.
Welche Security-Rollen sind am schwersten zu besetzen?
Detection Engineers, erfahrene Incident Responder, Cloud-Security-Engineers, Application-Security-Engineers, die Code lesen können, Spezialisten für Operational-Technology-Security und Architekten, die entwerfen statt nur zu bewerten.
Wer konvertiert am besten in Security?
Systemadministratoren zuerst, dann Netzwerktechniker in Erkennung, Entwickler in Application Security, Cloud-Ingenieure in Cloud-Security, Support-Personal in Security Operations, und Steuerungstechniker in industrielle Security.